Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) shengsh####.66####.cn:80
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) img.w####.cn:443
- TCP 60.2####.190.74:9401
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- img.w####.cn
- log.u####.com
- plb####.u####.com
- shengsh####.66####.cn
Запросы HTTP GET:
- shengsh####.66####.cn/Essence/init?os=####&sex=####&ov=####&width=####&u...
- shengsh####.66####.cn/Essence/lists?os=####&sex=####&ov=####&width=####&...
- shengsh####.66####.cn/config/foreground?os=####&sex=####&ov=####&width=#...
- shengsh####.66####.cn/config/get?os=####&sex=####&ov=####&width=####&use...
- shengsh####.66####.cn/conn_info/get?sign=####&os=####&sex=####&ov=####&w...
- shengsh####.66####.cn/findrollshow/get?os=####&sex=####&ov=####&width=##...
- shengsh####.66####.cn/push/bind?os=####&sex=####&ov=####&device_type=###...
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/1eb39c458aeed2cd6371b6b858eec00d.0.tmp
- /data/data/####/1eb39c458aeed2cd6371b6b858eec00d.1.tmp
- /data/data/####/21b8253b53075018b75b0c6f673abeaf.0.tmp
- /data/data/####/21b8253b53075018b75b0c6f673abeaf.1.tmp
- /data/data/####/29b6cf7f4862a8338fc812a7bba61316.0.tmp
- /data/data/####/29b6cf7f4862a8338fc812a7bba61316.1.tmp
- /data/data/####/4e2c5ee07fe7e3df69a4ee99581142bc.0.tmp
- /data/data/####/4e2c5ee07fe7e3df69a4ee99581142bc.1.tmp
- /data/data/####/567294c079464bc9544e5bcbc74abcfd.0.tmp
- /data/data/####/567294c079464bc9544e5bcbc74abcfd.1.tmp
- /data/data/####/823b131e83299dfcdcee51961d61d938.0.tmp
- /data/data/####/823b131e83299dfcdcee51961d61d938.1.tmp
- /data/data/####/849b09612cf4d30058d5483b79b63b0f.0.tmp
- /data/data/####/849b09612cf4d30058d5483b79b63b0f.1.tmp
- /data/data/####/8626f49df7a1e809588a9eb85bb7fca3.0.tmp
- /data/data/####/8626f49df7a1e809588a9eb85bb7fca3.1.tmp
- /data/data/####/95d3de41d049530037e4f6c38e00fe12.0.tmp
- /data/data/####/95d3de41d049530037e4f6c38e00fe12.1.tmp
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/Preferences.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/cache.db
- /data/data/####/cache.db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cc33eb10751c1f365e1befd85d41efde.0.tmp
- /data/data/####/cc33eb10751c1f365e1befd85d41efde.1.tmp
- /data/data/####/ccee6a5388536181735596600129e7d7.0.tmp
- /data/data/####/ccee6a5388536181735596600129e7d7.1.tmp
- /data/data/####/ceaa3895bf1cdbc861ce0399b0fc044e.0.tmp
- /data/data/####/ceaa3895bf1cdbc861ce0399b0fc044e.1.tmp
- /data/data/####/cf0227b6ef5222c8d4b62e229c66d431.0.tmp
- /data/data/####/cf0227b6ef5222c8d4b62e229c66d431.1.tmp
- /data/data/####/com.shengshi.reader.BETA_VALUES.xml
- /data/data/####/crashrecord.xml
- /data/data/####/dW1weF9zaGFyZV8xNTUzNjUzMjkwODU3;
- /data/data/####/dW1weF9zaGFyZV8xNTUzNjUzMjkwODk3;
- /data/data/####/db9b1300f6c8416a97836c8a7695ae67.0.tmp
- /data/data/####/db9b1300f6c8416a97836c8a7695ae67.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1978710361.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/pref.xml
- /data/data/####/security_info
- /data/data/####/share.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/media/####/.cuid
- /data/media/####/0834f938056790ddca80227081054cad.0.tmp
- /data/media/####/24c550648198ba2e866136a7355ed1fa.0.tmp
- /data/media/####/3b1d7f81cc142fdeda97d62694efe9f5.0.tmp
- /data/media/####/641786c10fcbcd42985fafc94dfe0158.0.tmp
- /data/media/####/77236b695b17abef2f6fbde28da20615.0.tmp
- /data/media/####/7a56d61cf65836c48a23affe88f85337.0.tmp
- /data/media/####/855626c44d18fd570d4574a91fc9b8ad.0.tmp
- /data/media/####/8e6a389da03e5a1dade14d99b0312532.0.tmp
- /data/media/####/ae86b84ada7a86bcc22634345d698cbb.0.tmp
- /data/media/####/create_test.temp
- /data/media/####/d7d5aabb8de15371ef18c8c645668445.0.tmp
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- getprop
Загружает динамические библиотеки:
- Bugly
- libjiagu-1978710361
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
